为什么pcap_loop（）和获取数据包之间会有很长的延迟？

Question

我正在使用libpcap编写嗅探器。 我的问题是，在调用pcap_loop（）或pcap_next（）与实际获取数据包（调用回调函数）之间存在7-10秒的延迟。 但是，如果我在同一设备上使用具有相同过滤器的Wireshark，则在单击“开始”按钮后就不会出现此类延迟。 为什么我的程序会有延迟，并且有办法解决？

我正在做atheros wifi芯片。 使用以下命令将设备设置为监视模式

airmon-ng start wlan0

我确定有很多流量可以听，因为我可以在Wireshark中看到这些程序包。 谢谢。

Answer 1

我正在使用10000

pcap_open_live()和pcap_set_timeout()的to_ms参数以毫秒为单位。

10000毫秒是10秒。

尝试使用1000，这是tcpdump使用的值-将延迟减少到1秒-或使用100，这是Wireshark使用的值-将延迟减少到1/10秒。

我阅读了有关此字段的教程：“至少在某些平台上，这意味着您可能要等到足够数量的数据包到达后才能看到任何数据包，因此应使用非零超时”

有问题的教程是tcpdump.org“如何使用libpcap”教程 ，并且在CVS提交中添加了有问题的段落：

revision 1.8
date: 2005/08/27 23:58:39;  author: guy;  state: Exp;  lines: +34 -31
Use a non-zero timeout in pcap_open_live(), so you don't wait for a
bufferful of packets before any are processed.

Correctly explain the difference between pcap_loop() and
pcap_dispatch().

In sniffex.c, don't print the payload if there isn't any.

所以我很熟悉 :-)

我不得不花一些时间（再次）查看Linux内核代码，以了解超时值0对较新的内核会有什么影响。 但是，在编写使用libpcap / WinPcap进行实时捕获的代码时，应始终像在为该平台编写代码一样工作。 这样，您的代码将更易于移植到其他平台， 并且如果零超时的行为发生变化，也不会中断。